Una DMZ es un segmento intermedio para los servicios expuestos a internet, protegido por uno o dos cortafuegos. El proxy inverso recibe las peticiones en nombre de los servidores y el WAF inspecciona el tráfico web en la capa 7; ninguno sustituye al cortafuegos de red ni al IDS/IPS.
El problema que resuelve una DMZ
Un hospital o una consejería publican servicios hacia fuera: una web, un portal de citas, un correo. Si esos servidores estuvieran en la red interna, un compromiso del servidor web daría al atacante un pie dentro de la red con los sistemas clínicos. La zona desmilitarizada (DMZ) es un segmento intermedio donde se colocan los servicios expuestos, de modo que quedan separados tanto de internet como de la red interna. El principio es que ningún flujo debe atravesar el perímetro sin estar autorizado.
El temario distingue dos arquitecturas clásicas, que conviene saber dibujar:
Arquitectura
Cómo es
Ventaja
Inconveniente
Un cortafuegos con tres interfaces
Un único equipo con interfaz hacia internet, hacia la DMZ y hacia la red interna
Más barata y sencilla de administrar
Un único punto de fallo: si se compromete, caen las tres zonas
Dos cortafuegos (DMZ entre ambos)
Uno externo entre internet y la DMZ y otro interno entre la DMZ y la red interna
Mayor seguridad; conviene que sean de fabricantes distintos
Más coste y complejidad
Las reglas básicas de una DMZ bien hecha son tres: internet solo puede iniciar conexiones hacia los servicios publicados en la DMZ; la DMZ no puede iniciar conexiones hacia la red interna salvo flujos concretos y justificados; y la red interna accede a la DMZ y a internet bajo control. La separación de segmentos se refuerza con VLAN, como se ve en VLAN y STP en redes hospitalarias.
Qué hace cada elemento
Cortafuegos
Filtra el tráfico por reglas. Uno de filtrado de paquetes decide por direcciones, puertos y protocolo; uno con inspección de estado sigue las conexiones y solo admite el tráfico de retorno legítimo; los de nueva generación añaden identificación de aplicaciones y prevención de intrusiones. Los básicos trabajan en las capas 3 y 4; los avanzados llegan a la 7.
Proxy directo y proxy inverso
Un proxy directo (forward) actúa en nombre de los clientes internos cuando salen a internet: sirve para controlar la navegación, filtrar contenidos y guardar caché. Un proxy inverso hace lo contrario: se sitúa delante de los servidores y recibe las peticiones de los clientes externos en su nombre. El cliente nunca habla directamente con el servidor real.
Oculta la topología y la dirección de los servidores internos.
Puede terminar TLS y descargar de ese trabajo a los servidores.
Un WAF inspecciona el tráfico HTTP y HTTPS en la capa de aplicación (capa 7) y bloquea ataques web como la inyección de código, el XSS o la manipulación de URL y de cookies. Un cortafuegos tradicional no los ve porque, para él, el tráfico hacia el puerto 443 es legítimo. Suele desplegarse como proxy inverso o integrado en él.
IDS e IPS
Un IDS detecta y alerta; un IPS va en línea y además bloquea. Para su diferencia y su ubicación, tienes el detalle en malware, firewall e IDS/IPS.
Comparativa rápida
Elemento
Capa principal
Protege contra
No sustituye a
Cortafuegos de red
3 y 4
Accesos no autorizados por IP y puerto
Un WAF
Proxy inverso
7
Exposición directa del servidor y sobrecarga
Un cortafuegos
WAF
7 (HTTP y HTTPS)
Inyección, XSS, manipulación de URL y cookies
Un IPS de red
IDS o IPS
3 a 7
Intrusiones y tráfico malicioso
Un cortafuegos
Qué exige el ENS
El Esquema Nacional de Seguridad (Real Decreto 311/2022 (ENS)) contiene medidas que describen esta arquitectura casi punto por punto:
mp.com.1, perímetro seguro: debe haber un sistema de protección perimetral que separe la red interna del exterior, todo el tráfico debe atravesarlo y todos los flujos deben estar autorizados previamente. Se aplica en las tres categorías (BÁSICA, MEDIA y ALTA).
mp.com.4, separación de flujos de información en la red: no se aplica en categoría BÁSICA. En la MEDIA exige segmentar con VLAN (R1, con al menos subredes de usuarios, servicios y administración), VPN (R2) o medios físicos separados (R3), y en la ALTA exige R2 o R3 y añade el control y aseguramiento de los puntos de interconexión (R4).
mp.s.2, protección de servicios y aplicaciones web: medidas frente a la manipulación de URL y de cookies, la inyección de código, la escalada de privilegios y el XSS. Es el terreno natural de un WAF.
op.mon.1, detección de intrusión: herramientas de detección o prevención de intrusión (IDS e IPS).
Si quieres ver cómo se gradúan por categorías, repasa el artículo de ENS y niveles.
Ejemplo de diseño
Un portal de citas en una DMZ con dos cortafuegos:
Internet llega al cortafuegos externo, que solo deja pasar el puerto 443 hacia el proxy inverso.
El proxy inverso, con el WAF, filtra la petición y la reenvía al servidor de aplicaciones de la DMZ.
El servidor consulta la base de datos, que está en la red interna: el cortafuegos interno permite únicamente ese flujo, desde esa dirección y a ese puerto.
Un IDS o IPS vigila el tráfico y los registros se envían a un servidor interno de eventos.
Trampas habituales. Un WAF no es un cortafuegos de red; el proxy inverso protege al servidor y el directo protege al cliente; un IDS no bloquea; y la DMZ no puede iniciar conexiones libres hacia la red interna.
Practica el temario TI con preguntas tipo examen
Tests con corrección y penalización real, por tema.
Un segmento de red intermedio donde se alojan los servicios expuestos a internet, separado de la red interna.
¿Qué diferencia hay entre un WAF y un cortafuegos?
El cortafuegos filtra sobre todo por IP, puerto y estado; el WAF inspecciona HTTP y HTTPS en la capa 7 para frenar ataques web.
¿Qué hace un proxy inverso?
Recibe las peticiones externas en nombre de los servidores, oculta su topología y puede terminar TLS, cachear y balancear.
¿Es mejor una DMZ con uno o con dos cortafuegos?
Con dos hay más seguridad porque no existe un único punto de fallo, a cambio de más coste y complejidad.
¿Qué medida del ENS exige el perímetro seguro?
La medida mp.com.1 del Real Decreto 311/2022, que pide un sistema de protección perimetral por el que atraviese todo el tráfico.
Fuentes
Programa de la categoría de técnico/a especialista de sistemas y tecnologías de la información: Resolución de 16 de julio de 2025 (convocatoria, DOG núm. 141, de 24 de julio de 2025) y Resolución de 18 de junio de 2021 (programa, DOG núm. 126, de 5 de julio de 2021).
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, "BOE" núm. 106, de 4 de mayo de 2022 (medidas mp.com.1, mp.com.4, mp.s.2 y op.mon.1): boe.es.
Temario OpoSERGAS de Técnico de Sistemas TI, Tema 25 (seguridad perimetral). Las explicaciones salen de ahí; no son texto oficial.
💻
Practica ahora con preguntas reales de TI SERGAS
2.400+ preguntas tipo test · Tests por tema · Simulacros cronometrados · 100% gratis
🍪 Usamos cookies propias y de terceros para analizar el tráfico (Google Analytics), y recoger opiniones (Trustpilot). Puedes aceptar todas, rechazar o consultar el detalle en nuestra
Política de cookies.